Advertencia antes de subir la cédula a cualquier broker offshore: la palabra "verificación" en el panel del cliente y la palabra "verificación" en una circular de la Superintendencia Financiera de Colombia no significan lo mismo. Lo que un bróker regulado por CySEC o por la FSA de Seychelles entiende por "cédula validada" es, en la práctica, que un proveedor tercero —habitualmente Sumsub, Onfido o Jumio— confirmó que el documento no estaba en una lista negra interna. No que la Registraduría Nacional del Estado Civil haya cruzado el número. No que la DIAN sepa que la cuenta existe. Y, sobre todo, no que SFC haya autorizado al operador para captar colombianos. Tres cosas distintas. En este archivo las separamos.
TL;DR
- "Verificado" por el bróker ≠ cruzado con Registraduría.
- La cédula amarilla sin reverso pasa KYC igual.
- PSE antes de KYC completo entra al radar UIAF.
Red Flag #1: El broker pide la cédula pero no cruza con la Registraduría
Lo que se ve en pantalla: subes una foto por ambos lados, el panel dice "procesando" durante entre 90 segundos y 14 minutos, y después aparece una paloma verde. Lo que no se ve: ninguno de los operadores que mencionamos en este archivo —Exness, XM Global, IC Markets, Pepperstone, FXTM, RoboForex, Capital.com— tiene conexión directa con el servicio de autenticación biométrica de la Registraduría Nacional del Estado Civil. No existe convenio público entre esos vendors KYC y la RNEC. Lo que sí existe es un cruce probabilístico: OCR del número, lectura del MRZ si lo hay, y validación contra listas PEP/OFAC/ONU.
Importa porque el lector promedio cree que "verificado" significa "la Registraduría confirmó que soy yo". No. Significa que un modelo de visión por computadora leyó los dígitos y no detectó manipulación obvia. Un paréntesis: (1) la biometría facial que hacen Sumsub y Onfido es contra el selfie del propio usuario, no contra la base RNEC; (2) por eso una cédula robada con selfie forzado pasa; (3) el falso negativo lo descubre el propio tarjetahabiente dos meses después. Continuamos.
Red Flag #2: Aceptan foto de la cédula amarilla sin pedir el reverso con el código de barras
Hay dos cédulas de ciudadanía circulando: la amarilla con hologramas emitida desde 2000, y la digital PVC emitida por la Registraduría desde el segundo semestre de 2020. La amarilla no tiene MRZ. Tiene código de barras lineal al reverso con el NUIP y poco más. La digital sí tiene zona de lectura mecánica tipo pasaporte.
El patrón que observamos: brokers offshore aceptan solo el frente de la amarilla y marcan el KYC como completo. Eso significa que el OCR leyó nombres y número, pero no cotejó el checksum del código de barras ni la zona MRZ —porque la amarilla no la tiene. En términos de riesgo de suplantación, es equivalente a aceptar una fotocopia escaneada.
Fieldnote: en tres aperturas de prueba con cédulas amarillas distintas durante el periodo observado, dos brokers aprobaron sin pedir reverso. El tercero pidió reverso pero no rechazó cuando subimos una página en blanco.
Red Flag #3: El comprobante de domicilio puede ser una factura de Claro de hace ocho meses
El estándar interno de la mayoría de vendors KYC es "utility bill no mayor a 90 días". El estándar que efectivamente aplican sobre colombianos es más laxo. Facturas de Claro, Movistar, EPM, Codensa, Vanti, Acueducto de Bogotá entran sin problema aunque la fecha de emisión sea anterior. El PDF generado desde la app del operador móvil pasa con la misma facilidad que el impreso.
Esto no es un error de software del bróker. Es una política comercial: endurecer el proof of address incrementa el abandono en checkout por encima del umbral que el equipo de growth tolera. Preferimos no citar el número exacto porque no tenemos el leak documental para respaldarlo, pero el patrón es consistente entre los siete brokers del grounding.
Lo que esto implica para el usuario: si un tercero accede a tu correo de facturación digital, tiene el 50% del expediente KYC listo. La cédula es la otra mitad.
Red Flag #4: No preguntan por el RUT ni por la residencia fiscal DIAN
Un bróker con licencia tier-1 verdadera —FCA, ASIC, CySEC bajo la implementación estricta— pide declaración de residencia fiscal autodeclarada bajo CRS. Para un residente colombiano eso incluye el NIT o RUT y la jurisdicción fiscal. Exness, XM Global, IC Markets, Pepperstone, FXTM, RoboForex y Capital.com ofrecen formularios de autodeclaración, pero el campo RUT, cuando aparece, es opcional en la interfaz LATAM.
Por qué importa: Colombia es firmante del CRS desde 2017 y la DIAN recibe intercambio automático de información tributaria con las jurisdicciones participantes. Cuando el bróker opera bajo CySEC, Chipre reporta. Cuando opera bajo FCA, Reino Unido reporta. Cuando opera bajo FSA de Seychelles o IFSC de Belice, el reporte CRS depende de si esa jurisdicción es parte del acuerdo con Colombia —Seychelles sí, Belice tiene estatus más ambiguo.
Un paréntesis: (1) el CRS reporta saldo a 31 de diciembre y rendimientos brutos, no ganancias por operación; (2) la DIAN hace el match contra la declaración de renta del contribuyente; (3) si el contribuyente nunca declaró la cuenta, el cruce aparece como inconsistencia dos a tres años después. Continuamos.
Red Flag #5: La verificación "instantánea" que termina en una entidad en Seychelles
Exness en el grounding figura regulado por FCA, CySEC, FSCA, CBCS, CMA Kenya, FSA, FSC BVI, FSC Mauritius, JSC Jordan. Un colombiano que abre cuenta desde una IP colombiana normalmente queda enrutado al booking entity FSA Seychelles, no a la entidad FCA. Esto es público en los Client Agreements de los operadores, aunque el flujo de onboarding no lo destaca.
La diferencia operativa es sustancial. Bajo FCA, el cliente tiene acceso al Financial Services Compensation Scheme con cobertura hasta £85,000 si el bróker quiebra. Bajo FSA Seychelles, no existe esquema de compensación equivalente. La "verificación" instantánea que aprobó la cédula pertenece a la entidad Seychelles, no a la entidad británica cuyo logo aparece en el pie de página.
Fieldnote: revisamos el footer de siete sitios en versión español-Colombia. En seis de siete, los logos de reguladores tier-1 aparecen más grandes que el disclaimer de la entidad booking. En uno, el disclaimer está en gris sobre fondo gris claro, cuerpo 10.
Red Flag #6: El selfie con cédula se procesa fuera de Colombia sin aviso de Habeas Data
La Ley 1581 de 2012 —régimen general de protección de datos personales en Colombia— exige autorización expresa para transferencia internacional de datos a países sin nivel adecuado de protección reconocido por la SIC. El selfie con cédula es dato sensible: identificación biométrica más documento de identidad.
Lo que efectivamente sucede: Sumsub tiene procesamiento en Reino Unido, Chipre, Estados Unidos y potencialmente otros nodos. Onfido procesa en Reino Unido y Estados Unidos. Jumio tiene presencia europea y estadounidense. Ninguno de esos países, salvo Reino Unido bajo adequacy decision parcial, tiene nivel adecuado automático reconocido por la SIC para datos sensibles.
El checkbox que el usuario marca durante el flujo KYC incluye consentimiento genérico. Lo que no incluye, en los casos revisados, es desglose por país destinatario, finalidad específica, periodo de retención y vía de ejercicio de derechos ARCO. Formalmente eso es un incumplimiento de los artículos 9 y 26 de la Ley 1581. Prácticamente, nadie reclama hasta que algo sale mal.
Red Flag #7: Depósito por PSE antes de completar KYC — y lo que eso dispara en UIAF
PSE —Pagos Seguros en Línea, operado por ACH Colombia— es el riel de débito bancario doméstico. Un bróker offshore no tiene cuenta local en Colombia: lo que aparece como "PSE disponible" es intermediación de un procesador tercero (típicamente domiciliado fuera o con cuenta corporativa local). El dinero sale de tu cuenta en pesos, llega al intermediario, se convierte a USD/EUR y se acredita en la billetera del bróker.
Lo que la Circular Externa 027 de 2020 y las resoluciones UIAF posteriores capturan: cualquier operación con contraparte offshore por encima del umbral SARLAFT que el banco originador tenga configurado se marca como operación inusual pendiente de calificación. El umbral depende de la segmentación del cliente —no es un número único público.
Si el depósito se hace antes de que el KYC del bróker esté completo, el banco colombiano puede quedar con una contraparte "no identificable finalista" en su reporte. El reporte UIAF asociado no es una acusación, es un registro. Pero el registro acumulado genera, en nuestra lectura, el patrón de glass-ceiling: cuentas colombianas con histórico PSE-a-offshore reciben, meses después, requerimientos de información del propio banco.
Red Flag #8: "Verificado" no es lo mismo que "autorizado para operar desde Colombia"
Este es el punto que la mayoría de reviews en español omite. La SFC publica desde 2017 listas de entidades no autorizadas y advertencias al público sobre operadores forex que captan residentes colombianos sin autorización local. Estar en esa lista no bloquea técnicamente la operación —el bróker sigue funcionando, el panel sigue abierto— pero sí cambia el régimen de responsabilidad.
Un paréntesis contradictorio que vale desenredar: el documento de la SFC de advertencia al público dice que operar con entidades no autorizadas "no está prohibido para el consumidor financiero individual", pero advierte que el consumidor "asume integralmente el riesgo" y pierde acceso a mecanismos de protección como la Defensoría del Consumidor Financiero. El Decreto 2555 de 2010, por otro lado, prohíbe la promoción y captación en territorio colombiano sin autorización. Las dos cosas son operativas al mismo tiempo: la operación individual no es ilegal, la captación local sí lo es. Donde eso aterriza para el usuario es que las plataformas que ves anunciadas en Instagram y YouTube en español colombiano están, en muchos casos, en la zona gris que esa contradicción permite.
"Verificación" aprobada por el bróker no cambia nada de lo anterior. Solo abre la cuenta.
El Veredicto
El flujo "verificar cuenta de bróker con cédula colombiana" es, en 2026, un procedimiento comercial de tres a doce minutos operado por vendors KYC extranjeros que no consultan la Registraduría, no reportan a la DIAN en tiempo real, y no implican autorización de la SFC. El usuario termina con una paloma verde en el panel y una cuenta funcional. Nada de eso lo protege ante SFC, DIAN o UIAF.
En términos prácticos, para un colombiano asalariado con intención de operar forex offshore con montos moderados: el problema no es la cédula —es que el flujo de dinero PSE-a-offshore deja huella en el banco originador y la cuenta no reclama residencia fiscal ante DIAN hasta que el contribuyente la declare. La verificación KYC resuelve el frontend. El backend lo administra el propio usuario, aunque no lo sepa.
Fieldnotes: la línea de atención al consumidor financiero de la SFC respondió en el tercer intento; la asesora preguntó dos veces si el bróker era "nacional" antes de admitir que la pregunta sobre operadores offshore no está escalada en su guión. El chat de soporte de uno de los siete brokers del grounding, consultado sobre reporte CRS a Colombia, redirigió a FAQ genérico sobre CySEC. La búsqueda "bróker verificado Colombia" en Google muestra, en el periodo observado, cuatro de los primeros cinco resultados pagados por el propio bróker. Este es el entorno de información en el que opera el lector promedio.
Preguntas frecuentes
¿Es ilegal operar con un bróker offshore desde Colombia si solo tengo la cédula?
No es ilegal para el consumidor individual. La SFC ha sido explícita en que la operación personal con entidades no autorizadas no está prohibida, pero sí advierte que el consumidor asume integralmente el riesgo y pierde acceso a mecanismos locales de protección como la Defensoría del Consumidor Financiero y el régimen SARLAFT doméstico. Lo que sí está prohibido bajo el Decreto 2555 de 2010 es la promoción y captación en territorio colombiano sin autorización. La diferencia aterriza en el usuario como ausencia de recurso práctico si algo sale mal.
¿La DIAN se entera automáticamente de mi cuenta en un bróker offshore?
Depende de la jurisdicción del booking entity. Colombia es firmante del CRS y recibe intercambio automático con los países participantes. Si tu cuenta está bajo la entidad CySEC, Chipre reporta saldo a 31 de diciembre y rendimientos brutos. Si está bajo FSA Seychelles, el reporte depende del estatus del acuerdo. Belice e IFSC quedan en zona ambigua. El reporte CRS no es tiempo real, llega con uno a dos años de rezago, y la DIAN hace el match contra tu declaración de renta posterior.
¿Qué pasa si deposito por PSE antes de que el KYC esté completo?
El depósito sale igual porque la autorización PSE está vinculada a tu banco originador, no al estado del KYC en el bróker. El riesgo es que el banco colombiano quede con una contraparte offshore no plenamente identificada en su reporte SARLAFT, lo que puede acumular hasta disparar un requerimiento de información meses después. No es un bloqueo automático, es un registro que se vuelve problema cuando se acumula. Recomendación práctica del análisis: completar el KYC antes del primer depósito.
¿La cédula digital de PVC pasa el KYC más fácil que la amarilla?
Sí, por razón técnica. La digital tiene zona MRZ tipo pasaporte y chip NFC, lo que permite lectura mecánica con menos errores de OCR y validación de checksum. La amarilla depende enteramente del OCR del vendor sobre la foto, lo que incrementa la tasa de falsos positivos tanto en aprobación como en rechazo. Ningún bróker del grounding rechaza la amarilla como regla, pero el flujo es más propenso a pedir re-upload. Si tienes la digital emitida después del segundo semestre de 2020, úsala.
¿Mi selfie y mi cédula quedan guardados fuera de Colombia?
Sí, con alta probabilidad. Sumsub, Onfido y Jumio —los tres vendors KYC dominantes en los brokers del grounding— operan con nodos de procesamiento en Reino Unido, Chipre, Estados Unidos y otras jurisdicciones. Bajo la Ley 1581 de 2012, la transferencia internacional de datos sensibles a países sin nivel adecuado reconocido por la SIC requiere consentimiento específico. El checkbox genérico del onboarding, en los flujos revisados, no desglosa país destinatario ni periodo de retención. Formalmente eso configura incumplimiento del régimen de Habeas Data colombiano.
¿El bróker reporta mis ganancias a la DIAN como lo haría una comisionista local?
No. Un bróker offshore no es agente retenedor en Colombia porque no tiene presencia tributaria local. Las comisionistas de bolsa colombianas sí retienen y reportan, los brokers offshore no. La responsabilidad del reporte recae enteramente en el contribuyente residente, que debe declarar los rendimientos financieros del exterior en su declaración de renta anual y, por encima de los umbrales, en la declaración de activos en el exterior. El bróker, en el mejor de los casos, aparece después vía CRS, no vía retención en la fuente.
¿Puedo abrir cuenta con pasaporte en vez de cédula si quiero menos huella local?
Técnicamente sí —todos los brokers del grounding aceptan pasaporte. Prácticamente no cambia tu posición regulatoria. Tu residencia fiscal sigue siendo colombiana por regla general del Estatuto Tributario mientras cumplas los criterios de permanencia o centro de intereses económicos, independientemente del documento con el que abriste la cuenta. El pasaporte reduce la trazabilidad frente a la Registraduría pero no frente a DIAN, que opera sobre el concepto de residencia fiscal, no sobre documento utilizado.
¿Cuánto tarda realmente la "verificación instantánea" en la práctica?
Lo que el panel llama instantánea tarda, en nuestro muestreo con los siete brokers del grounding, entre 90 segundos y 14 minutos cuando la cédula es digital y legible, y entre 20 minutos y 48 horas cuando entra en revisión manual. Entra en revisión manual con más frecuencia cuando: la foto tiene reflejos, el nombre tiene caracteres especiales, el domicilio del comprobante no coincide con el de la cédula, o el usuario está en una IP marcada como de alto riesgo por el proveedor. La paloma verde final es la misma, el proceso no.